Установка и настройка UFW на VPS

UFW — простой фронтенд к iptables для управления правилами на VPS.

📋 Требования

• VPS с root/sudo
• SSH
• Ubuntu/Debian

📥 Установка

Bash
sudo apt update
sudo apt install ufw -y
sudo ufw status

До включения часто: Status: inactive

⚙️ Базовая настройка

Bash
1sudo ufw default deny incoming
2sudo ufw default allow outgoing
3sudo ufw allow 22/tcp
4sudo ufw allow 80/tcp
5sudo ufw allow 443/tcp
6sudo ufw enable

🔧 Дополнительно

Bash
1sudo ufw allow 8080/tcp
2sudo ufw allow 53/udp
3sudo ufw allow 3306/tcp
4sudo ufw allow 5432/tcp
5sudo ufw allow from 192.168.1.100
6sudo ufw allow from 192.168.1.100 to any port 22
7sudo ufw allow from 10.0.0.0/8
8sudo ufw deny from 192.168.1.100
9sudo ufw deny 3306/tcp

📊 Управление

Bash
1sudo ufw status
2sudo ufw status numbered
3sudo ufw status verbose
4sudo ufw delete 3
5sudo ufw delete allow 8080/tcp
6sudo ufw --force reset

🎯 Примеры

Веб-сервер:

Bash
1sudo ufw default deny incoming
2sudo ufw default allow outgoing
3sudo ufw allow ssh
4sudo ufw allow 80/tcp
5sudo ufw allow 443/tcp
6sudo ufw enable

БД только из подсети:

Bash
1sudo ufw default deny incoming
2sudo ufw default allow outgoing
3sudo ufw allow ssh
4sudo ufw allow from 10.0.0.0/8 to any port 3306
5sudo ufw enable

Minecraft:

Bash
sudo ufw allow 25565/tcp

📝 Логи

Bash
sudo tail -f /var/log/ufw.log
sudo tail -n 50 /var/log/ufw.log

🔄 Отключение

Bash
sudo ufw disable
sudo ufw enable

✅ Рекомендации

1. Сначала SSH, потом enable.
2. Открывайте минимум портов.
3. Проверьте доступ до выхода из SSH.
4. Смотрите логи.
5. Дополнительно можно использовать fail2ban.

🆘 Устранение

Заблокировали сами себя — консоль хостера/VNC, sudo ufw disable.
Правила не срабатывают — status, numbered, reload.

Docker и UFW — возможны конфликты; вариант с осторожностью:

JSON
{ "iptables": false }

в /etc/docker/daemon.json, затем sudo systemctl restart docker — понимайте последствия для безопасности.

📚 Ссылки

• Документация UFW
• Усиление SSH
• Поддержка Infrawire

❓ Вопросы

Два фаервола сразу? Лучше один, чтобы не путать правила.
Docker? См. раздел выше; часто настраивают цепочки вручную.
Несколько портов? Цикл в bash или по одной команде allow.

Удачной настройки.